Uma carteira de criptomoedas não guarda moedas. Ela guarda a chave privada que permite assinar transações na blockchain, e quem tem essa chave controla os ativos. Por isso a pergunta mais importante não é "qual carteira", e sim "quem fica com a chave: eu ou uma empresa?".
Este guia ajuda a responder essa pergunta caso a caso, explica como proteger a frase de recuperação e mostra o que as resoluções do Banco Central de novembro de 2025 passaram a exigir das empresas que guardam cripto para clientes. O conteúdo é informativo e defensivo; não é recomendação de investimento, e criptoativos podem perder todo o valor.
Chave, endereço e frase de recuperação em 30 segundos
- Chave privada: número secreto que assina as transações. Quem o tem move os ativos.
- Endereço: derivado da chave pública; é o que você passa para receber. Pode ser divulgado.
- Frase de recuperação: 12 ou 24 palavras, no padrão BIP-39, que recriam todas as chaves da carteira em qualquer app compatível. As palavras saem de uma lista fixa de 2.048 termos.
A consequência prática é dura: quem fotografar sua frase leva tudo, e quem perder a frase sem ter outro acesso perde tudo. Não existe "esqueci a senha" em autocustódia. A base técnica de chaves e assinaturas está em o que é blockchain.
Os quatro tipos de carteira, comparados
| Tipo | Quem guarda a chave | Ponto forte | Ponto fraco | Uso típico |
|---|---|---|---|---|
| Conta em corretora (custodial) | A empresa | Recuperação de acesso, suporte, compra e venda em reais | Você depende da solvência e da segurança da empresa | Quem está começando ou negocia com frequência |
| App de celular ou computador | Você | Controle total, uso diário | Exposto a malware e a golpes no próprio aparelho | Valores pequenos e uso frequente |
| Extensão de navegador | Você | Integração com aplicações na web | Maior exposição a sites falsos e a assinaturas maliciosas | Quem usa aplicações descentralizadas |
| Carteira de hardware | Você | A chave não sai do dispositivo; a assinatura acontece dentro dele | Custa dinheiro, exige cuidado com compra e backup | Valores que você não pretende movimentar |
Existe ainda a multiassinatura, que exige, por exemplo, duas de três chaves para movimentar. Ela reduz o risco de uma única chave roubada ou perdida, mas exige conhecimento técnico e é mais usada por empresas.
Qual escolher em cada situação
Se você quer comprar um valor pequeno para entender como funciona, uma conta em corretora autorizada é o caminho mais simples. O risco principal passa a ser a empresa e a segurança do seu login, não a sua habilidade técnica.
Se você vai guardar por anos e não pretende negociar, a autocustódia com carteira de hardware reduz a dependência de terceiros. Em troca, toda a responsabilidade pelo backup passa a ser sua.
Se você vai usar aplicações descentralizadas, use uma carteira separada, com pouco valor, só para isso. Uma assinatura enganosa esvazia apenas essa carteira, não a sua reserva.
Se você não se sente seguro guardando a frase, não migre para autocustódia ainda. Perder a frase é um risco tão real quanto a falência de uma empresa.
Se o valor é relevante para a sua família, planeje desde já como alguém de confiança saberia que os ativos existem, sem expor a frase. Para valores altos, procure orientação jurídica sobre herança.
Muita gente combina os dois modelos: uma parte na corretora para operar, outra em autocustódia para guardar. Não há resposta única, e nenhuma escolha elimina o risco de perda.
O que as regras do Banco Central mudaram em 2026
Em 10 de novembro de 2025, o Banco Central publicou as Resoluções BCB 519, 520 e 521, que regulamentam as prestadoras de serviços de ativos virtuais (PSAVs), as empresas que intermediam ou guardam cripto para clientes. As três entraram em vigor em 2 de fevereiro de 2026. Os pontos que afetam diretamente quem escolhe onde guardar:
- Segregação patrimonial: a Resolução 520 obriga a PSAV a manter os recursos próprios separados dos recursos dos clientes, e o registro de custódia deve separar os ativos de cada cliente dos ativos da própria empresa.
- Transparência sobre a guarda: a empresa deve informar com clareza como guarda os instrumentos de controle dos ativos dos clientes, mesmo quando terceiriza a custódia.
- Aviso sobre autocustódia: se o cliente optar por guardar os ativos por conta própria, a PSAV deve esclarecer as medidas de segurança necessárias e os riscos dessa modalidade.
- Staking com regras: a oferta de staking pelo custodiante precisa ser comunicada ao BC com 90 dias de antecedência, e o contrato deve informar riscos, prazos de resgate e forma de recompensa.
- Saques para carteira própria: a Resolução 521 define carteira autocustodiada como aquela em que o dono controla a chave privada, e inclui no mercado de câmbio a transferência de ativos virtuais de ou para esse tipo de carteira. A PSAV deve identificar o proprietário da carteira e verificar a origem e o destino dos ativos.
Na prática, ao sacar para sua própria carteira, espere que a corretora peça informações sobre a titularidade dela. Empresas que já atuavam no país têm até 270 dias contados de 2 de fevereiro de 2026, ou seja, até 30 de outubro de 2026, para pedir autorização ao BC. O calendário completo está em regulação de criptoativos no Brasil.
Checklist da frase de recuperação
- Anote à mão, em papel ou em placa de metal, no momento da criação, na ordem exata.
- Nunca fotografe, digite, salve na nuvem, em e-mail, em gerenciador de notas ou em mensagens. Computadores e contas on-line são o primeiro alvo de quem rouba frases.
- Guarde em lugar protegido de fogo, água e furto, e considere uma segunda cópia em outro endereço.
- Confira a anotação restaurando a carteira em um teste com valor irrelevante.
- Nunca digite a frase em um site. Nenhum suporte, atualização ou "validação" legítima pede a frase.
- Não conte a ninguém quanto você tem. Divulgar patrimônio atrai golpistas.
Checklist ao comprar e usar uma carteira de hardware
- Compre do fabricante ou de revendedor autorizado, nunca usada ou de marketplace sem procedência. Um dispositivo adulterado pode vir com frase pré-gerada.
- Desconfie de qualquer carteira que já venha com uma frase impressa ou configurada: a frase deve ser gerada pelo próprio dispositivo, na sua frente.
- Baixe o app de gerenciamento só do site oficial, conferindo o endereço digitado.
- Confira o endereço de destino na tela do dispositivo, não só na tela do computador.
- Atualize o firmware pelos canais oficiais.
Antes de cada envio
- Confirme a rede. O mesmo token pode existir em várias redes; enviar pela rede errada pode significar perda.
- Confira o endereço inteiro, não apenas o começo e o fim.
- Faça um envio de teste com valor pequeno quando o destino for novo.
- Lembre que não há estorno. Depois de confirmada, a transação só volta se o destinatário devolver.
Os golpes que mais esvaziam carteiras
| Golpe | Como acontece | Defesa |
|---|---|---|
| Falso suporte | Perfil em rede social ou grupo se oferece para "resolver um problema" e pede a frase | Suporte legítimo nunca pede a frase |
| Site ou app falso | Anúncio leva a uma cópia da carteira que pede a frase para "restaurar" | Acesse só pelo endereço oficial digitado ou salvo |
| Troca de endereço copiado | Malware substitui o endereço na área de transferência | Confira o endereço colado e, no hardware, na tela do dispositivo |
| Envenenamento de endereço | Golpista envia valor mínimo de um endereço parecido com um que você usa | Nunca copie endereços do histórico de transações |
| Assinatura maliciosa | Site pede uma "permissão" que autoriza um contrato a mover seus tokens | Leia o que assina; use carteira separada para aplicações |
| Investimento falso | Promessa de retorno garantido, "robô" ou relacionamento on-line | Retorno garantido em cripto não existe |
| Falsa recuperação | Quem já perdeu é abordado por "especialistas" que cobram adiantado | Ninguém recupera cripto enviada por golpe mediante taxa |
Contra golpes na conta da corretora, os cuidados são os mesmos de um banco: senha única em gerenciador de senhas, autenticação em dois fatores por aplicativo ou chave física em vez de SMS, e atenção aos sinais de phishing.
Fontes
- Banco Central do Brasil. Resolução BCB nº 520, de 10 de novembro de 2025 (vigente desde 02/02/2026).
- Banco Central do Brasil. Resolução BCB nº 521, de 10 de novembro de 2025.
- Banco Central do Brasil. Resolução BCB nº 519, de 10 de novembro de 2025.
- Bitcoin Improvement Proposals. BIP-39: Mnemonic code for generating deterministic keys.
- Bitcoin.org. Secure your wallet.
- Ethereum Foundation. Ethereum wallets.
- FTC. What to know about cryptocurrency and scams.
